Consulenza · Privacy e protezione dati
GDPR, privacy e cybersecurity.
Il GDPR non è un'informativa da pubblicare e dimenticare: è sapere quali dati tratti, con quale diritto, e poterlo dimostrare in qualsiasi momento — a un cliente, a un dipendente o al Garante.
A chi si rivolge
- Ogni organizzazione che tratta dati personali di clienti, dipendenti o fornitori: il GDPR non ha una soglia minima di dipendenti.
- Aziende con videosorveglianza, gestionali HR, strumenti di marketing o sistemi di intelligenza artificiale che riguardano i lavoratori.
- Chi deve valutare se nominare un DPO o condurre una DPIA, e documentare la risposta anche quando è «no».
- Studi professionali, strutture sanitarie e attività che trattano categorie particolari di dati.
- Aziende che vogliono proteggere sistemi, posta elettronica e dati da attacchi informatici, o che ricevono richieste NIS2 dai clienti lungo la filiera.
Il bisogno
Conformità che si dimostra, non si dichiara.
Il Regolamento UE 2016/679 non si esaurisce con un'informativa copiata da internet e un banner dei cookie. Chiede di sapere esattamente quali dati tratti, perché, con quale base giuridica, per quanto tempo, e di poterlo dimostrare: registro dei trattamenti aggiornato, informative coerenti con quello che fai davvero, misure di sicurezza proporzionate al rischio. Vale per lo studio con due dipendenti quanto per l'azienda con reparto HR e videosorveglianza.
Il punto debole più comune non è l'assenza di documenti, ma documenti scritti una volta e mai più toccati: il registro che non include il nuovo gestionale, l'informativa che non parla delle telecamere installate l'anno dopo, il DPO mai valutato «perché siamo piccoli». Nei provvedimenti del Garante pesano proprio le incoerenze tra ciò che si dichiara e ciò che si fa: videosorveglianza dei lavoratori, cookie senza consenso valido, strumenti di intelligenza artificiale usati senza valutazione preventiva.
- Reg. UE 2016/679 (GDPR)
- D.Lgs. 196/2003 e s.m.i.
- Registro — art. 30
- DPO — art. 37
- DPIA — art. 35
- Art. 4 L. 300/1970 — videosorveglianza
- Linee guida cookie del Garante (2021)
Che cosa facciamo
Dal registro dei trattamenti alla sicurezza informatica.
-
Registro dei trattamenti
Mappatura di tutti i trattamenti — clienti, dipendenti, fornitori, marketing — con finalità, basi giuridiche, tempi di conservazione e misure di sicurezza, tenuto aggiornato nel tempo.
-
Informative e consensi
Informative coerenti con i trattamenti reali (artt. 13-14), gestione dei consensi dove richiesti e banner dei cookie conforme alle linee guida del Garante, senza pratiche ingannevoli.
-
DPO e valutazione dell'obbligo
Verifica se la tua attività rientra nei casi di nomina obbligatoria del Responsabile della protezione dei dati e valutazione scritta, necessaria anche quando la risposta è no. Dove serve, incarico di DPO esterno.
-
DPIA — valutazione d'impatto
Valutazione preventiva quando un trattamento presenta un rischio elevato: videosorveglianza estesa, sistemi di IA sui dipendenti, trattamenti su larga scala di dati sanitari o biometrici.
-
Videosorveglianza sul lavoro
Percorso conforme sia al GDPR sia allo Statuto dei Lavoratori: accordo sindacale o autorizzazione dell'Ispettorato prima dell'installazione, cartellonistica a doppio livello, finalità dichiarate coerenti con l'uso reale delle immagini.
-
Violazioni dei dati e gestione nel tempo
Procedura pronta per riconoscere e notificare una violazione nei tempi previsti; revisione dei documenti quando cambiano fornitori, gestionali o strumenti di intelligenza artificiale.
Che cosa consegniamo
Che cosa resta in azienda, a lavoro finito.
- Un referente unico che segue la pratica privacy dalla mappatura iniziale alla gestione delle scadenze.
- Documenti costruiti sui trattamenti che fai davvero — registro, informative, nomine, istruzioni — non modelli adattati col copia-incolla.
- Valutazione scritta e motivata sull'obbligo di DPO e DPIA, aggiornata quando cambiano attività o strumenti.
- Verifica di videosorveglianza e cookie del sito, i due punti più controllati dal Garante e più facili da controllare anche da un occhio esterno.
- Un quadro delle misure di sicurezza informatica in essere e un piano di miglioramento con priorità e costi.
Chi fa che cosa
Responsabilità chiare, dal primo giorno.
Svolto direttamente da iCuraImpresa
Mappatura dei trattamenti, registro, informative, nomine, valutazioni DPO/DPIA, procedure, istruzioni al personale, revisione periodica; dove richiesto, incarico di DPO esterno.
Svolto da terzi
Le organizzazioni sindacali o l'Ispettorato del Lavoro per gli accordi e le autorizzazioni sulla videosorveglianza; i fornitori di sistemi informatici per le misure tecniche di loro competenza.
Come lavoriamo
Dalla mappatura alla gestione nel tempo.
- 01
Mappatura dei trattamenti
Sopralluogo e interviste per capire quali dati tratti davvero — clienti, dipendenti, fornitori, videosorveglianza, sito web — e con quali strumenti, prima di scrivere qualunque documento.
- 02
Documenti e basi giuridiche
Registro dei trattamenti, informative, nomine, valutazione sull'obbligo di DPO e DPIA dove necessarie: ogni documento costruito sui trattamenti reali.
- 03
Misure di sicurezza e formazione
Misure tecniche e organizzative adeguate al rischio, istruzioni scritte a chi tratta i dati, gestione di consensi e cookie sul sito aziendale.
- 04
Aggiornamento e violazioni dei dati
Revisione periodica quando cambiano attività, fornitori o strumenti (compresa l'IA) e procedura pronta per notificare un'eventuale violazione nei tempi previsti.
Domande frequenti
Le domande che ci fanno più spesso.
Ho un'azienda piccola: il GDPR mi riguarda comunque?
Sì. Il GDPR si applica a chiunque tratti dati personali, anche a uno studio con due persone o a un negozio con un solo commesso. Cambiano gli adempimenti, non l'obbligo di base. Il registro dei trattamenti (art. 30) prevede una deroga per chi ha meno di 250 dipendenti, ma così stretta — non vale se il trattamento non è occasionale, riguarda categorie particolari di dati o presenta un rischio — che nella pratica quasi tutte le aziende devono tenerlo.
Devo nominare per forza un DPO?
Dipende dall'attività, non dalla dimensione. La nomina è obbligatoria per gli enti pubblici, per chi effettua monitoraggio regolare e sistematico su larga scala degli interessati e per chi tratta su larga scala categorie particolari di dati o dati giudiziari (art. 37). Fuori da questi casi non è obbligatoria, ma la valutazione va documentata per iscritto e aggiornata se cambiano le attività.
Che cosa rischio se il Garante mi controlla e non sono in regola?
Le sanzioni amministrative arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83). L'importo dipende dalla gravità, dal numero di interessati, dalla durata e dal comportamento tenuto. Negli ultimi anni il Garante ha dedicato particolare attenzione a videosorveglianza dei dipendenti, cookie senza consenso valido e uso di sistemi di intelligenza artificiale sul lavoro.
Le telecamere in azienda sono un problema di privacy o di sicurezza sul lavoro?
Entrambe le cose. L'installazione di sistemi che possono anche solo indirettamente inquadrare i lavoratori richiede l'accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato del Lavoro (art. 4 L. 300/1970) prima ancora della parte GDPR. Servono poi due livelli di informativa: un cartello visibile prima dell'area ripresa e un'informativa estesa (art. 13). L'uso delle immagini per finalità non dichiarate, per esempio disciplinari, è tra le contestazioni più frequenti.
Il sito aziendale ha bisogno del banner dei cookie anche se non vendiamo online?
Se il sito installa anche un solo cookie o strumento di terze parti, di misurazione non anonimizzata o di profilazione prima che l'utente abbia scelto, sì. Le linee guida del Garante del 10 giugno 2021 richiedono scelte reali con pari evidenza — accettare, rifiutare, personalizzare — senza pratiche ingannevoli: lo scorrimento della pagina non vale come consenso.
Posso usare strumenti di intelligenza artificiale per monitorare i dipendenti?
Con limiti molto stringenti, e alcuni usi sono vietati: il Regolamento UE 2024/1689 (AI Act) vieta i sistemi di riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza. Prima di introdurre qualunque strumento di IA che tratti dati dei dipendenti — selezione, produttività, controllo accessi — vanno valutati base giuridica, informativa, eventuale DPIA e i vincoli dello Statuto dei Lavoratori.
Fonti e riferimenti
- Regolamento (UE) 2016/679 — artt. 13, 14, 30, 33, 35, 37, 83
- D.Lgs. 196/2003 (Codice privacy), come modificato dal D.Lgs. 101/2018
- Garante per la protezione dei dati personali — Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
- L. 300/1970, art. 4 — impianti audiovisivi e strumenti di controllo
- Regolamento (UE) 2024/1689 — AI Act, art. 5 — pratiche vietate
- Direttiva (UE) 2022/2555 (NIS2) e D.Lgs. 4 settembre 2024, n. 138
Contenuti verificati al 7 ottobre 2026. Le norme cambiano: prima di decidere, verifichiamo insieme il caso specifico.
Servizi correlati
Spesso insieme a questo servizio
-
ISO 27001
Il sistema di gestione della sicurezza delle informazioni, certificabile.
Scopri di più -
Medicina del lavoro
Dati relativi alla salute dei lavoratori e cartelle sanitarie.
Scopri di più -
Consulenza aziendale
Deleghe, procedure e responsabilità anche per la protezione dei dati.
Scopri di più
Il prossimo passo
Fatti dire dove sei esposto, prima che lo faccia un controllo.
Raccontaci quali dati tratti e con quali strumenti: ti indichiamo che cosa manca e in che ordine intervenire. Richiedi un ricontatto: ti rispondiamo noi, per email o per telefono, per capire insieme che cosa serve.